微点交流论坛 - 微点主动防御软件 - 新年紧急求助贴，恶心的毒被我中上了。

gdkangyuan
新手上路

积分 1
发帖 1
注册 2006-7-7

#1 新年紧急求助贴，恶心的毒被我中上了。

电脑感染了这个毒，怎么解呀。

我重装系统，格式了C盘，还是不行。

进安全模式杀毒后，杀完一开机又自动运行。。。。

以下是一个朋友分析的毒，和我中的一样。大家帮解一下呀，农夫出的威金专杀不管用，杀后还会自动出来！瑞星总被自动关闭。

2007年第一个病毒分析帖..

写的又正好是跟"熊猫烧香"一样恶心的玩意..

又偏偏让我误点..自己也中了..现在极少部分杀软报..

入正题..写分析..

运行样本..
释放文件
C:\WINDOWS\system\logo_1.exe
C:\WINDOWS\system\SYSTEM32.vxd
C:\WINDOWS\system\SYSTEM32.dat

每个盘根目录下生成
X:\go.exe
X:\autorun.inf

写入注册表
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"ntaskldr"="C:\WINDOWS\system\logo_1.exe"

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ntaskldr"="C:\WINDOWS\system\logo_1.exe"

最恶心的部分介绍下..
logo_1.exe 运行后调用 cmd.exe 执行命令 cmd.exe /c dir X:\*.exe /s /b >>C:\WINDOWS\system\SYSTEM32.vxd.dat
X为某个盘..
运行命令后感染X盘里的所有 .exe 文件...
感染后还会释放一个同名文件后辍为 .exe.tmp

system volume information
recycled
这俩个文件夹内的.exe文件..感染后释放的同名文件后辍为 .exe.dat

如果中毒的电脑打开我的电脑时.. logo_1.exe 会连网下载⒏个木马程序..
分别为:
C:\WINDOWS\system\jwm.exe
C:\WINDOWS\system\mhh.exe
C:\WINDOWS\system\ztd.exe
C:\WINDOWS\system\mir.exe
C:\WINDOWS\system\wo3.exe
C:\WINDOWS\system\ienet.exe
C:\WINDOWS\system\wol.exe
C:\WINDOWS\system\wll.exe

被感染的文件..头部写入: 19,738 字节尾部写入:5 字节

地址=00407F80
反汇编=MOV EDX,2_.0040847C
文本字串=瑞星卡巴金山诺盾爱老虎油！！！！！！

我中的就这毒。怎么办呀。。。。大哥们帮帮小弟。谢谢·Q

※ ※ ※ 本文纯属【gdkangyuan】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-2-18 11:37

Legend
超级版主

超级版主

积分 77171
发帖 70170
注册 2005-10-29

#2

建议你先安装东方微点的主动防御软件下载连接
http://www.micropoint.com.cn/download/

※文章所有权归【Legend】与【东方微点论坛】共同所有，转载请注明出处！※

微点官方认证新浪微博：欢迎进入微点新浪微博
微点技术支持邮箱: support@micropoint.com.cn
给Legend发短消息

2007-2-18 11:41

冰河
注册用户

积分 76
发帖 76
注册 2007-2-9

#3

你中的是威金病毒也可以下载威金专杀工具查杀。
江民威金专杀：http://www.jiangmin.com/download/zhuansha04.htm
http://download.jiangmin.info/jmsoft/VikingKiller.exe

※ ※ ※ 本文纯属【冰河】个人意见，与【微点交流论坛】立场无关※ ※ ※

2007-2-18 12:15

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号